Vishing, smishing et prétextage

Bien que le hameçonnage fasse souvent la une, les attaquants utilisent plusieurs canaux de communication pour manipuler leurs victimes. Le vishing utilise les appels vocaux, le smishing utilise les SMS et le Pretexting consiste à construire un faux scénario crédible (un prétexte) pour justifier la demande à laquelle la victime devrait se conformer. Ces attaques réussissent non pas parce que les victimes sont ignorantes, mais parce qu'elles exploitent des instincts humains fondamentaux : la confiance envers l'autorité, le désir de se rendre utile et la tendance à suivre les instructions sous pression.

Le vishing (hameçonnage vocal) utilise les appels téléphoniques pour manipuler les victimes. Parmi les prétextes courants figurent l'usurpation d'identité d'un agent de l'IRS menaçant d'une arrestation pour impôts impayés, d'un service antifraude bancaire avertissant de transactions suspectes, d'un service d'assistance technique prétendant avoir détecté un virus ou d'un service gouvernemental de prestations exigeant une vérification. Les attaquants utilisent l'usurpation de l'identité de l'appelant pour afficher le numéro d'une organisation légitime. Les campagnes de vishing par appels automatisés opèrent à grande échelle, puis mettent les victimes intéressées en relation avec des opérateurs. La nature instantanée des appels vocaux crée une pression qui rend la réflexion critique difficile.

Le smishing (hameçonnage par SMS) diffuse des pièges d'hameçonnage par message texte. Les messages de smishing courants usurpent l'identité de services de livraison de colis (FedEx, UPS, USPS) au moyen de fausses notifications de suivi contenant des liens malveillants, de banques avertissant de débits suspects ou d'opérateurs mobiles signalant des problèmes de compte. Les URL de smishing utilisent souvent des raccourcisseurs d'URL ou des domaines similaires à ceux de sites légitimes. Les utilisateurs mobiles sont probablement plus vulnérables que les utilisateurs d'ordinateurs, car les écrans plus petits rendent l'inspection des URL plus difficile et les navigateurs mobiles masquent souvent l'adresse complète. Les SMS inspirent également une confiance inhérente : les utilisateurs ont tendance à agir plus rapidement face aux messages texte que face aux courriels.

Le Pretexting consiste à fabriquer un scénario faux mais crédible qui fournit un contexte à une demande d'ingénierie sociale. Sans prétexte convaincant, les demandes d'informations sensibles ou d'actions inhabituelles éveilleraient immédiatement les soupçons. Un attaquant pratiquant le Pretexting peut se faire passer pour un nouveau prestataire informatique ayant besoin d'aide pour accéder aux systèmes, pour un auditeur devant accéder aux documents financiers ou pour un livreur d'un fournisseur qui demande qu'on lui « ouvre la porte ». Le prétexte n'a pas besoin d'être élaboré : il doit seulement être suffisamment plausible pour que la cible ne s'arrête pas pour vérifier avant de se conformer à la demande.

Les principes d'influence de Robert Cialdini expliquent l'efficacité de l'ingénierie sociale. Autorité — les personnes obéissent à celles qu'elles perçoivent comme des figures d'autorité (CEO, IRS, police). Urgence/rareté — la pression temporelle empêche une évaluation attentive (« Agissez dans les 10 prochaines minutes »). Preuve sociale — les personnes font ce que font les autres. Sympathie — les personnes obéissent à celles en qui elles ont confiance ou qu'elles trouvent agréables. Réciprocité — les personnes se sentent obligées de rendre les services reçus. Engagement — après avoir pris un petit engagement, les personnes ont tendance à en respecter de plus importants. Comprendre ces principes aide les formateurs en sensibilisation à la sécurité à concevoir des messages de riposte plus efficaces.

La technologie VoIP moderne rend l'usurpation de l'identité de l'appelant triviale. Des services comme SpoofCard, Twilio et diverses API VoIP permettent à n'importe qui de définir le numéro affiché sur n'importe quel numéro avant de passer un appel. Les attaquants usurpent régulièrement les lignes du service clientèle de banques, les numéros d'organismes gouvernementaux ou le propre numéro de la victime (usurpation de numéros voisins). Le cadre STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) a été imposé aux US pour authentifier cryptographiquement l'identité de l'appelant, mais son adoption reste incomplète. Ne faites jamais confiance au seul numéro affiché pour vérifier une identité.

Le personnel des services d'assistance est une cible privilégiée du vishing, car son travail consiste à aider les utilisateurs — ce qui crée une tension naturelle avec les procédures de sécurité. Dans une attaque typique, l'attaquant appelle en se faisant passer pour un employé senior qui doit réinitialiser son compte de toute urgence, car il n'y a plus accès avant une réunion importante. La combinaison de l'autorité et de l'urgence peut amener un agent bien intentionné du service d'assistance à ignorer les étapes de vérification. Le célèbre piratage de Twitter en 2020 a commencé par des attaques de vishing contre des employés de Twitter, qui ont permis d'accéder aux outils internes. Les services d'assistance ont besoin de procédures strictes de vérification de l'identité auxquelles il est impossible de déroger, quelle que soit l'urgence.

Une attaque par échange de SIM combine le vishing et l'ingénierie sociale contre le service clientèle d'un opérateur mobile. L'attaquant appelle l'opérateur en se faisant passer pour la victime, fournit les réponses aux questions de vérification d'identité (obtenues lors de fuites de données ou sur les réseaux sociaux) et convainc l'agent de transférer le numéro de téléphone de la victime vers une carte SIM contrôlée par l'attaquant. Une fois le numéro détourné, tous les codes de MFA envoyés par SMS parviennent à l'attaquant, ce qui lui permet de prendre le contrôle des comptes de courriel, bancaires et de cryptomonnaie. L'échange de SIM a servi à voler des millions en cryptomonnaie.

La détection des attaques d'ingénierie sociale nécessite de combiner les signalements des employés avec la journalisation technique. Chaque employé doit savoir comment signaler un appel ou un message suspect — idéalement au moyen d'un bouton accessible en un clic dans le courriel ou d'une adresse de courriel dédiée (phishing@company.com). Les indicateurs techniques comprennent les journaux d'appels montrant des appels entrants provenant de numéros usurpés, les alertes du SIEM concernant des réinitialisations de mots de passe du service d'assistance précédées d'appels entrants et les modifications d'accès aux comptes en dehors des heures ouvrées. Après un incident, les relevés téléphoniques et les journaux de SMS sont des éléments essentiels de l'analyse forensique, au même titre que les journaux de courriel et les événements d'authentification.

Se défendre contre le Pretexting nécessite d'établir des procédures de vérification que les employés appliquent systématiquement, quelle que soit la pression ressentie. Les principales Policies comprennent : toujours vérifier l'identité par un canal distinct et établi avant de répondre à des demandes inhabituelles ; établir un système de mots codés pour les communications des cadres dirigeants ; former les employés au fait que les figures d'autorité de l'organisation ne s'offusqueront pas des demandes de vérification ; et instaurer une culture positive en matière de sécurité, où le respect des procédures est récompensé même lorsqu'il entraîne un léger désagrément. Des tests d'ingénierie sociale non annoncés permettent de mesurer l'efficacité réelle de la formation.

Pour l'examen Security+, faites clairement la distinction entre les canaux de hameçonnage. Le hameçonnage passe par le courriel. Le vishing passe par la voix ou le téléphone. Le smishing passe par les SMS. Le pharming redirige le DNS sans nécessiter de clic. Tous ont le même objectif — manipuler la victime pour lui faire révéler ses identifiants, transférer de l'argent ou installer un logiciel malveillant — mais le mécanisme de diffusion et les contre-mesures diffèrent. Le courriel bénéficie de défenses techniques (SPF/DKIM/DMARC/Sandbox) ; la voix et les SMS disposent de beaucoup moins de contrôles techniques, ce qui rend la formation des utilisateurs encore plus importante pour ces canaux.

Testez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que le vishing utilise des appels téléphoniques et l'usurpation de l'identité de l'appelant pour se faire passer pour des figures d'autorité et obtenir des identifiants ou provoquer des actions, que le smishing diffuse des pièges d'hameçonnage par SMS, où les utilisateurs mobiles voient moins bien les URL, et que le Pretexting crée des scénarios faux mais crédibles pour justifier des demandes inhabituelles — avec une défense fondée sur des procédures strictes de vérification de l'identité, une confirmation par un canal distinct et la formation des employés. Nous allons maintenant découvrir l'ingénierie sociale physique à travers le tailgating et l'appâtage.